Fragt man in Unternehmen nach dem Internen Kontrollsystem (IKS), wird oft eine Excel-Datei geöffnet: die Risiko-Kontroll-Matrix. Sie beschreibt sauber, welche Kontrollen es geben soll. Ob diese Kontrollen auch tatsächlich durchgeführt werden, zeigt sie nicht. Das merken Unternehmen spätestens, wenn Revision oder Abschlussprüfer Nachweise sehen wollen und diese mühsam zusammengesucht werden müssen.
Vom Dokument zum Prozess
Ein wirksames IKS braucht drei Dinge: eine klare Beschreibung der Kontrollen, die regelmäßige Durchführung und einen Nachweis darüber. Die ersten beiden Punkte sind meist geregelt. Beim dritten hakt es. Genau hier helfen Werkzeuge, die viele Unternehmen ohnehin einsetzen, etwa JIRA, ServiceNow oder vergleichbare Ticketsysteme.
So kann eine digitale Kontrolle aussehen
Nehmen wir die quartalsweise Überprüfung von Berechtigungen im ERP-System:
- Das System erzeugt zum Quartalsbeginn automatisch ein Ticket für jede verantwortliche Führungskraft.
- Das Ticket enthält die aktuelle Berechtigungsliste als Anhang und eine kurze Arbeitsanweisung.
- Die Führungskraft bestätigt oder beantragt Änderungen direkt im Ticket.
- Änderungen werden als verknüpfte Tickets an die Administration übergeben.
- Überfällige Tickets werden eskaliert, und ein Dashboard zeigt den Erledigungsstand.
Das Ergebnis: Jede Durchführung ist mit Datum, Person und Ergebnis dokumentiert. Die Revision kann Stichproben direkt im System ziehen, statt E-Mails anzufordern.
Was Sie dafür brauchen
- Eine bereinigte Risiko-Kontroll-Matrix. Digitalisieren lohnt sich nur für Kontrollen, die wirklich gebraucht werden. Nutzen Sie die Gelegenheit, Doppelungen und überholte Kontrollen zu streichen.
- Klare Verantwortlichkeiten. Jede Kontrolle braucht eine Person als Eigentümer, nicht eine Abteilung.
- Einheitliche Kontrollbeschreibungen. Was wird geprüft, wie oft, mit welchem Nachweis, und was passiert bei Abweichungen?
- Eine Verbindung zu Risiken und Anforderungen. So sehen Sie, welche Kontrollen etwa NIS2, DORA oder den GoBD dienen, und vermeiden doppelte Arbeit.
Der Nutzen geht über die Prüfung hinaus
Ein digital geführtes IKS liefert jederzeit einen aktuellen Stand. Die Geschäftsleitung kann ihrer Überwachungspflicht nachkommen, und Fachbereiche sehen, dass Kontrollen kein Selbstzweck sind. Gleichzeitig wird die Grundlage für Continuous Auditing gelegt, also die laufende, datengestützte Überwachung durch die Revision.
Unser Partner GRC Factory unterstützt bei der Digitalisierung von IT-Verfahren, IKS und Risikomanagement, zum Beispiel mit JIRA oder ServiceNow.
Passende Seminare der GRC Akademie
- IT-Compliance und Internes Kontrollsystem kompakt (COSO, Risiko-Kontroll-Matrix, BIA)
Seminar, 1 Tag · nächster Termin Mi 13.01.2027 · 590 € zzgl. USt. - Zugriffs- und Berechtigungsmanagement in der Praxis – Anforderungen, Rollenkonzept, SoD
Seminar, 1 Tag · nächster Termin Mi 07.04.2027 · 590 € zzgl. USt. - Continuous Auditing und Datenanalyse in der Revision
Webinar, 2 Stunden · nächster Termin Do 09.09.2027 · 249 € zzgl. USt. (Frühbucher 199 €)
Alle Themen bieten wir auch als Inhouse-Schulung für Ihr Team an. Den vollständigen Kalender finden Sie in der Übersicht der Online-Seminare.